AI Act, 2 août 2026 : le guide de survie des agences et des équipes créatives
— ÉTHIQUE
À partir du 2 août 2026, l'article 50 du règlement européen sur l'IA impose de signaler les contenus générés ou manipulés par IA et d'annoncer les chatbots. Le report obtenu par le Digital Omnibus ne concerne pas cet article : c'est précisément celui qui touche les studios, les agences et les équipes marketing.
Le 2 août 2026 n'est pas la date où « tout l'AI Act s'applique ». C'est une idée fausse qui circule beaucoup, et elle mène au pire réflexe possible : croire qu'on a gagné du temps.
Ce qui bascule ce jour-là :
Ce qui glisse :
Autrement dit : le volet qui ne vous concerne probablement pas a été repoussé, celui qui vous concerne tous les jours arrive à l'heure.
Un point souvent oublié : l'article 4 est en vigueur depuis février 2025. Il exige que les personnes qui utilisent l'IA pour votre compte disposent d'un niveau suffisant de maîtrise de ces outils. Il devient contrôlable dans les faits à partir du 2 août 2026. Si votre studio n'a rien documenté sur ce point, c'est le trou le plus facile à combler et le plus bête à laisser ouvert.
Toute la répartition des obligations tient à cette question.
Le fournisseur conçoit ou développe le système d'IA et le met sur le marché. C'est l'éditeur de l'outil.
Le déployeur utilise le système sous sa propre autorité, dans son activité professionnelle. C'est vous : agence, studio, marque, freelance qui facture.
Une agence est déployeur par défaut. Utiliser Midjourney, Firefly, Runway, ElevenLabs ou un LLM pour produire du livrable client, c'est être déployeur. L'argument « je n'ai pas entraîné le modèle » ne vaut rien. Une agence web qui intègre une API de génération d'images dans le site d'un client est déployeur de ce système.
Mais on peut basculer. Vous devenez fournisseur, avec toutes les obligations correspondantes, si vous :
Ce troisième point mérite l'attention des studios qui packagent un outil sous label maison. Vous vendez « l'assistant créa de l'agence X » construit sur une API tierce, avec votre nom dessus ? Vous n'êtes plus seulement utilisateur.
Et la responsabilité ne se refile pas. Une marque ne peut pas externaliser toute sa responsabilité à son agence, et une agence ne peut pas l'externaliser à son logiciel. Les rôles doivent être identifiés et écrits noir sur blanc dans le contrat.
Les systèmes destinés à interagir directement avec des personnes physiques (chatbots, assistants vocaux, agents de service client) doivent être conçus pour que l'utilisateur sache qu'il échange avec une IA, sauf si c'est évident pour une personne raisonnablement avertie.
En pratique : une phrase claire dès le premier message. « Vous échangez avec un assistant IA » fait le travail. Une mention planquée dans les CGU ne fait pas le travail.
Les fournisseurs de systèmes qui génèrent ou manipulent du texte, de l'image, de l'audio ou de la vidéo doivent intégrer un marquage lisible par machine : filigrane numérique, métadonnées, empreinte. L'objectif est la détectabilité technique, pas l'information de l'humain.
Exception prévue : les fonctions d'assistance à l'édition standard qui ne modifient pas substantiellement les données d'entrée ou leur sens.
Cette obligation ne pèse pas directement sur vous. Mais votre pipeline peut la détruire. Un export, une compression, un recadrage réseaux sociaux, un passage dans un outil de retouche : les métadonnées sautent. Une clause contractuelle type consiste précisément à s'engager à ne pas supprimer ces indicateurs lors de l'exploitation du contenu. Si vous en supprimez, vous fabriquez un risque que personne n'avait demandé.
Il faut informer les personnes exposées au système et traiter les données conformément au RGPD. Concerne surtout les dispositifs événementiels, les études d'audience visuelle et le retail intelligent.
C'est votre obligation centrale. Deux volets :
a) Les deepfakes. Le déployeur doit indiquer clairement qu'un contenu image, audio ou vidéo a été généré ou manipulé par IA.
Définition officielle (article 3, point 60) : un contenu image, audio ou vidéo généré ou manipulé par IA qui ressemble à des personnes, objets, lieux ou événements existants et qui apparaîtrait à tort comme authentique.
Retenez le critère : la vraisemblance, pas le sujet. Un porte-parole synthétique photoréaliste est un deepfake. Un mannequin IA qui pourrait passer pour une vraie personne est un deepfake. Un packshot photoréaliste d'un produit dans un décor qui n'a jamais existé pose la question.
b) Les textes d'intérêt public. Un texte généré ou manipulé par IA et publié dans le but d'informer le public sur des questions d'intérêt public doit être signalé comme tel.
L'échappatoire éditoriale est réelle et facile à activer : l'obligation tombe si le texte a fait l'objet d'une relecture humaine ou d'un contrôle éditorial, et si quelqu'un en assume la responsabilité éditoriale. Un rédacteur en chef qui valide vous sort de l'obligation. Un flux de textes publiés sans contrôle réel, non.
Le règlement prévoit que lorsque le contenu fait partie d'une œuvre ou d'un programme manifestement artistique, créatif, satirique, fictif ou analogue, la divulgation se limite à signaler l'existence de ces contenus, d'une manière appropriée qui n'entrave pas l'affichage ou la jouissance de l'œuvre.
Beaucoup de créatifs y voient un blanc-seing. C'est une erreur.
Les lignes directrices de la Commission excluent du bénéfice de l'exception les contenus qui poursuivent principalement un objectif informatif ou commercial et sont identifiables comme tels. Le caractère fictif ou humoristique ne suffit donc pas quand la finalité est commerciale. Une fausse bande-annonce parodique générée par IA pour vendre une marque de vêtements ne s'en sort pas automatiquement.
Les exemples donnés par Bruxelles aident à calibrer :
La règle de tri est simple : un spectateur moyen, sans information préalable, pourrait-il être trompé sur la nature artificielle du contenu ? Si oui, on étiquette. La charge de prouver qu'une exception s'applique pèse sur celui qui produit le contenu. Les autorités interprètent ces exceptions de façon restrictive.
La Commission a publié le 10 juin 2026 la version finale du code de bonnes pratiques sur la transparence des contenus générés par IA, élaboré par des experts indépendants dans un processus multi-parties piloté par le Bureau de l'IA. Il couvre les paragraphes 2, 4 et 5 de l'article 50.
Ce qu'il faut en retenir :
Les lignes directrices de la Commission sur l'article 50, mises en consultation le 8 mai 2026 jusqu'au 3 juin, sont attendues en version finale avant l'échéance.
Le non-respect des obligations de transparence expose à une amende administrative pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (article 99). Pour les PME et les startups, le règlement retient le plus bas des deux plafonds.
Ce n'est pas la catégorie la plus sévère du règlement, réservée aux pratiques interdites et plafonnée à 35 millions d'euros ou 7 % du chiffre d'affaires.
Le vrai risque pour une agence n'est pas l'amende maximale. C'est le signalement. Un chatbot non annoncé, un deepfake publicitaire non marqué : ce sont des manquements visibles par n'importe qui, donc faciles à dénoncer par un concurrent, un client mécontent ou une association.
En France, la surveillance se répartit entre la CNIL sur les questions biométriques, l'Arcom sur les contenus d'intérêt public et la DGCCRF sur les interactions directes avec les consommateurs. Le décret de désignation définitif est encore attendu, mais les obligations ne dépendent pas de ce calendrier national.
L'écosystème publicitaire français ne partage pas l'orientation européenne. Le Conseil de l'Éthique Publicitaire, instance associée à l'ARPP, a pris position : une obligation générale d'indiquer qu'une publicité a été « réalisée avec IA » ne se justifie pas.
Son raisonnement : la transparence publicitaire porte sur les caractéristiques du produit ou du service et sur la véracité des allégations, pas sur les procédés de création du récit publicitaire. Le CEP estime le risque de tromperie limité à des situations précises, notamment lorsque l'incarnant constitue en lui-même la promesse de la marque, cas typique de la publicité cosmétique.
Cette position ne vous exonère de rien : elle relève de l'autorégulation, pas du droit. Mais elle donne une ligne de tri utile. Là où le corps, la peau, la voix ou le visage sont la démonstration du produit, l'étiquetage devient une évidence déontologique autant que juridique.
À ne pas perdre de vue non plus : la Recommandation ARPP « Communication publicitaire numérique » interdit de représenter une personne sans son autorisation, y compris via un deepfake. Le droit à l'image ne s'est pas dissous dans le prompt.
Avant le 2 août.
Après le 2 août.
Le sujet a l'air juridique. Il est opérationnel. Ce n'est pas un dossier de DPO : c'est une ligne dans votre process de livraison, un champ dans votre template de post, un paragraphe dans vos contrats cadres, une case dans votre checklist de validation client.
La bonne nouvelle, c'est que rien de tout cela n'exige un cabinet d'avocats. La mauvaise, c'est que l'inventaire des flux prend plus de temps que prévu, et qu'il se fait toujours dans l'urgence quand un client pose la question en réunion.